SSO가 멈춰도 관리자를 지키는 비상 계정 운영 가이드
IdP 장애나 설정 오류에도 SaaS 관리 권한을 안전하게 복구할 수 있도록 비상 계정의 설계, 사용, 회수, 감사 원칙을 정리합니다.
SSO는 로그인 경로를 단순화하고 접근 정책을 중앙화하지만, 유일한 관리자 로그인 수단이 되면 장애 순간에는 복구 작업까지 막힐 수 있습니다. 최근 IAM 논의에서 인증 정보 탈취뿐 아니라 아이덴티티 복원력(identity resilience) 이 강조되는 이유입니다. IdP 장애, 잘못된 SAML 인증서 교체, 도메인 설정 오류가 발생해도 통제된 복구 경로는 남아 있어야 합니다.
그 해법이 비상 계정, 이른바 브레이크 글라스(break-glass) 계정입니다. 평소에는 봉인해 두고 정상 인증 경로를 사용할 수 없을 때만 제한적으로 쓰는 관리자 계정입니다. 다만 “혹시 모르니 공용 관리자 하나를 만들자”는 방식은 새로운 취약점이 될 수 있습니다.
비상 계정은 우회 계정이 아니라 복구 장치입니다
비상 계정의 목적은 편리한 SSO 우회가 아니라 서비스 복구입니다. 따라서 일상 업무, 테스트, 외부 협력사 공유에 사용해서는 안 됩니다. 가능하면 실명 책임자가 분리된 계정을 두고, 불가피한 공용 계정이라면 승인자와 사용자를 나누는 이중 통제를 적용해야 합니다.
SSO 세션 자체의 위험과 만료 정책은 SSO 세션 관리 가이드에서 함께 확인할 수 있습니다.
최소 권한과 강한 인증
비상 계정에는 복구에 필요한 최소 권한만 부여합니다. 결제 정보 조회나 데이터 내보내기처럼 복구와 무관한 권한은 제외하고, MFA를 필수로 설정합니다. 복구 수단은 한 사람의 개인 기기에만 의존하지 않도록 하되, 비밀번호와 MFA 복구 코드는 서로 다른 안전한 장소에 보관하는 것이 좋습니다.
운영 절차는 계정보다 먼저 준비해야 합니다
실제 사고에서는 계정의 존재보다 “누가, 어떤 조건에서, 무엇을 한 뒤 종료하는가”가 중요합니다. 다음 절차를 런북으로 문서화하세요.
- SSO 장애와 일반 로그인 오류를 구분하고 비상 접근 필요성을 선언합니다.
- 사전에 지정된 승인자가 사용을 승인하고 담당자를 기록합니다.
- 비상 계정으로 인증 설정 복구에 필요한 작업만 수행합니다.
- 정상 SSO가 복구되면 세션을 종료하고 비밀번호·복구 코드를 교체합니다.
- 사용 시각, 수행 작업, 승인자를 감사 로그로 검토합니다.
분기마다 실제 비밀번호를 노출하지 않는 방식으로 접근 가능 여부와 연락 체계를 점검해야 합니다. 퇴사·직무 변경 시 소유자도 즉시 바꾸고, SCIM 기반 계정 회수 절차와 별도로 비상 계정 목록을 검토하세요. 일반 사용자 수명주기 자동화는 SCIM 퇴사자 계정 회수를 참고할 수 있습니다.
멀티 테넌트 SaaS에서는 고객사별 경계를 지키세요
하나의 비상 계정이 여러 고객 테넌트에 접근하게 만들면 사고 범위가 커집니다. 고객사별 관리자 역할과 복구 절차를 분리하고, 어떤 테넌트에서 어떤 설정을 변경했는지 기록해야 합니다. 멀티 테넌트 IdP 격리 원칙은 비상 접근에도 그대로 적용됩니다.
AxiPass는 고객사별 테넌트에서 OIDC/SAML SSO, SCIM 프로비저닝, MFA, 감사 로그를 통합 관리하고, SSO를 지원하지 않는 앱은 SWA로 연결할 수 있도록 돕습니다. 정상 로그인과 비상 복구의 경계를 분명히 설계해 인증 장애에도 안전하게 대응하세요.